Tài liệu Bảo mật mạng: Chương 5 - Lưu Anh Kiệt

CHƯƠNG 5: SCANNING<br /> Lưu Anh Kiệt<br /> Quét (Scanning) là một bước tiếp theo trong tiến trình tấn công hệ thống. Gia đoạn này<br /> giúp chúng ta xác định được nhiều thông tin của mục tiêu cần tấn công. Chương trước, bạn<br /> đã tìm hiểu các vấn đề về Footprinting và Social Engineering, là công việc liên quan đến<br /> con người. Có nghĩa là chúng ta đã tiến hành thu thập thông tin về tổ chức mà chúng ta tấn<br /> công, như vị trí địa lý, thói quen sinh hoạt của nhân viên…Đến phần này, Scanning, chúng<br /> ta sẽ làm việc với máy móc. Tức là sau khi chúng ta tìm được vài thông tin có liên quan<br /> đến máy tính cần tấn công, công đoạn tiếp theo là thu thập thông tin về máy tính đó. Những<br /> thông tin cần thu thập như tên máy (computer name), địa chỉ ip, cấu hình máy tính, hệ điều<br /> hành, dịch vụ đang chạy, port đang mở…Những thông tin này sẽ giúp cho hacker có kế<br /> hoạch tấn công hợp lý, cũng như việc chọn kỹ thuật tấn công nào. Quét giúp định vị hệ<br /> thống còn hoạt động trên mạng hay không. Một hacker chân chính sử dụng cách này đề<br /> tìm kiếm thông tin của hệ thống đích.<br /> <br /> 1. Phân loại Scanning<br /> Sau khi các giai đoạn hoạt động thăm dò chủ động và bị động của hệ thống mục tiêu hoàn<br /> tất, chúng ta tiến hành quét. Quét được sử dụng để xác định một hệ thống có trên mạng hay<br /> không và có đang sẵn sàng hoạt động. Công cụ quét được sử dụng để thu thập thông tin về<br /> một hệ thống như địa chỉ IP, hệ điều hành, và các dịch vụ chạy trên các máy tính mục tiêu.<br /> Hình sau liệt kê ba loại quét chủ yêu mà chúng ta nhắm tới.<br /> <br /> Hình 5.1: Phân loại Scanning<br /> <br /> Port scanning<br /> Port scanning là quá trình xác định cổng TCP/IP mở và có sẵn trên một hệ thống. Công cụ<br /> Port scanning cho phép một hacker tìm hiểu về các dịch vụ có sẵn trên một hệ thống nhất<br /> định. Mỗi dịch vụ hay ứng dụng máy tính được kết hợp với một số cổng thông dụng. Ví<br /> dụ, một công cụ quét đó là xác định cổng 80 mở cho một web sever đang chạy trên đó.<br /> Hacker cần phải biết rõ với số cổng thông dụng.<br /> Note : trên hệ thống windows, những cổng thông dụng nằm ở vị<br /> trí C:\windows\system32\drivers\etc\services file. Tập tin<br /> dịch vụ là một file ẩn. Mở tập tin bằng Notepad.<br /> <br /> Network scanning<br /> Network scanning là một quy trình để xác định máy chủ đang hoạt động trên mạng, hoặc<br /> để tấn công chúng hoặc là đánh giá an ninh mạng. Máy chủ được xác định bởi IP cá nhân<br /> của chúng. Các công cụ network-scanning cố gắng xác định tất cả các máy chủ trực tiếp<br /> hoặc trả lời trên mạng và địa chỉ IP tương ứng của chúng.<br /> <br /> Vulnerability scanning<br /> Vulnerability scanning là quá trình chủ động xác định các lỗ hổng của hệ thống máy tính<br /> trên mạng. Thông thường, một máy quét lỗ hổng đầu tiên xác định các hệ điều hành và số<br /> phiên bản, bao gồm các gói dịch vụ có thể được cài đặt. Sau đó, máy quét lỗ hổng xác định<br /> các điểm yếu, lỗ hổng trong hệ điều hành.Trong giai đoạn tấn công sau đó, một hacker có<br /> thể khai thác những điểm yếu để đạt được quyền truy cập vào hệ thống.<br /> Một hệ thống phát hiện xâm nhập (IDS) hay một mạng an ninh tinh vi chuyên nghiệp với<br /> các công cụ thích hợp có thể phát hiện các hoạt động port-scanning. Các công cụ dò quét<br /> cổng TCP/IP tìm kiếm các cổng mở và địa chỉ IP, và lỗ hổng thường có thể bị phát hiện,<br /> vì các máy quét phải tương tác với hệ thống đích trên mạng.<br /> <br /> 2. Đối tượng cần quét<br /> Scan là hoạt động tương tác trên hệ thống máy tính. Đối tượng mà chúng ta đang nhắm tới<br /> chính là hệ thống máy tính với những thành phần của nó. Khi tiến hành quét hệ thống,<br /> chúng ta chú ý đến các mục đích sau:<br /> Live System: Xác định xem hệ thống mà chúng ta đang nhắm tới có còn hoạt động hay<br /> không. Máy tính (host) đang quét có hoạt động trên internet hay không. Địa chỉ ip có đang<br /> trong trạng tháy public.<br /> <br /> Port: Mục tiêu tiếp theo là xác định các port đang mở. Việc xác định port này cho phép<br /> chúng ta biết máy tính đó đang mở các dịch vụ nào. Từ đó xác định được mục đích của<br /> cuộc tấn công.<br /> Operating System: Xác định hệ điều hành đang sử dụng trên máy tính mục tiêu sẽ giúp<br /> hacker tìm ra các lỗ hổng thông dụng. Các hệ điều hành không nhiều thì ít cũng tiềm ẩn<br /> những lỗ hổng tạo điều kiện cho kẻ tấn công đột nhập. Xác định hệ điều hành còn phải xác<br /> định phiên bản của nó.<br /> Service: Hiểu rõ những dịch vụ đang chạy và lắng nghe trên hệ thống đích. Phiên bản của<br /> dịch vụ nào cũng chứa những lỗi nhỏ, mà nếu biết khai thác lỗ nhỏ đó thì nó không còn<br /> nhỏ chút nào.<br /> IP Address: Không chỉ có một ip của một host, mà chúng ta cũng cẩn xác định dãy địa chỉ<br /> mạng, và những host khác có liên quan như Default gateway, DNS Server…<br /> <br /> 3. Các phương pháp quét<br /> Quá trình Scan được mô tả trong hình 4.2. Phương pháp này là quá trình mà theo đó hacker<br /> tiến hành quét mạng. Nó đảm bảo rằng không có hệ thống hoặc lỗ hổng nào bị bỏ qua và<br /> các hacker tập hợp tất cả thông tin cần thiết để thực hiện một cuộc tấn công.<br /> <br /> Hình 5.2: Tiến trình scan<br /> <br /> Theo đó, tiến trình quét mạng có thể được mô tả vắn tắt qua các bước như sau:<br /> Kiểm tra xem hệ thống có tồn tại, có đang hoạt động hay không.<br /> Kiểm tra các port nào đang được mở mà chúng ta có thể tương tác được.<br /> Nhận biết các dịch vụ tương ứng với những port đang mở.<br /> Phát họa sơ đồ mạng, đặc biệt chú ý đến những host dễ bị tổn thương.<br /> Ghi dấu hệ điều hành và những thông tin có liên quan đến hệ điều hành.<br /> Chuẩn bị một proxy để tấn công.<br /> Tấn công: Tất nhiên ở đây chỉ mang tính minh họa, chứ thực chất việc tấn công còn<br /> nhiều công đoạn khác.<br /> <br /> 3.1.<br /> <br /> Kiểm tra sự tồn tại của hệ thống đích<br /> <br /> Chúng ta sẽ đi vào việc tìm hiểu vài kỹ thuật được áp dụng để kiểm tra sự tồn tại của hệ<br /> thống ngay sau đây.<br /> <br /> Tìm hiểu kỹ thuật Ping Sweep<br /> Các phương pháp quét bắt đầu với việc kiểm tra các hệ thống sống trên mạng, có nghĩa là<br /> hệ thống phản ứng với các yêu cầu thăm dò hoặc kết nối. Đơn giản nhất, mặc dù không<br /> phải là cách chính xác nhất, cách để xác định dù hệ thống có sống hay không là thực hiện<br /> ping sweep cho một dãy IP. Tất cả các hệ thống phản ứng với một tin trả lời ping được coi<br /> là sống trên mạng.<br /> Internet control message protocol (ICMP) scanning là quá trình gửi một yêu cầu ICMP<br /> hoặc ping cho tất cả các host trên mạng để xác định những host đang tồn tại và trả lời ping.<br /> Lợi ích của ICMP scanning là nó có thể chạy song song, có nghĩa là tất cả các hệ thống<br /> được quét đồng thời, do đó nó có thể chạy nhanh chóng trên toàn bộ mạng. Hầu hết các<br /> công cụ hack bao gồm một lựa chọn ping-sweep, mà chủ yếu là thực hiện một yêu cầu<br /> ICMP đến mỗi máy chủ trên mạng.<br /> Một vấn đề đáng kể với phương pháp này là phần mềm tường lửa cá nhân và tường lửa hệ<br /> thống mạng có thể chặn hệ thống từ trả lời ping sweeps. Một vấn đề khác là các máy tính<br /> phải được quét.<br /> <br /> Hacking Tools<br /> Pinger, Friendly Pinger, and WS_ping_Pro là tất cả những phần mềm có thể giúp chúng<br /> ta thực hiện quá trình Ping Sweep. Bạn sẽ được hướng dẫn sử dụng các công cụ này trong<br /> phần lab.<br /> <br /> Chống lại Ping Sweep<br /> Hầu như bất kỳ hệ thống phòng chống xâm nhập (IDS) hoặc hướng dẫn (IPS), sẽ phát hiện<br /> và cảnh báo cho quản trị viên bảo mật về một quá trình quét ping đang xảy ra trên mạng.<br /> Hầu hết các tường lửa và proxy server chặn trả lời ping vì vậy hacker không thể xác định<br /> chính xác xem liệu hệ thống có sẵn sàng bằng cách sử dụng một quá trình quét ping được.<br /> Quét cổng “dồn dập” được sử dụng nếu hệ thống không trả lời với một quá trình quét ping.<br /> Chỉ vì một quá trình quét ping không trả lại bất kỳ máy chủ nào hoạt động trên mạng không<br /> có nghĩa là chúng không có sẵn, bạn cần phải thử những phương pháp nhận dạng xen kẽ<br /> khác. Hãy nhớ hack mất thời gian, kiên nhẫn, và kiên trì.<br /> <br /> 3.2.<br /> <br /> Thăm dò cổng(port) và xác định dịch vụ (service)<br /> <br /> Kiểm tra các cổng đang mở là bước thứ hai trong tiến trình quét. Port scanning là phương<br /> pháp được sử dụng để kiểm tra các cổng đang mở. Quá trình quét bao gồm việc thăm dò<br /> mỗi cổng trên máy chủ để xác định các cổng đang mở. Thông thường Ports scanning có<br /> giá trị hơn một quá trình quét ping về máy chủ và các lỗ hổng trên hệ thống.<br /> Xác định các Service hoạt động là bước thứ ba trong tiến trình. Nó thường được thực hiện<br /> bằng cách sử dụng các công cụ tương tự như port scanning. Bằng cách xác định cổng mở,<br /> hacker thường xác định các dịch vụ liên kết với số cổng đó.<br /> <br /> Biện pháp đối phó Port-Scan<br /> Biện pháp đối phó là quá trình hoặc bộ công cụ được sử dụng bởi các quản trị viên an ninh<br /> để phát hiện và có thể ngăn chặn port-scanning các máy chủ trên mạng của họ. Danh sách<br /> các biện pháp đối phó cần được thực hiện để ngăn chặn một hacker thu thập thông tin từ<br /> quá trình quét cổng:<br /> Kiến trúc an ninh thích hợp, chẳng hạn như thực hiện các IDS và tường lửa nên<br /> được đi chung.<br /> Hacker chân chính sử dụng công cụ của họ thiết lập để kiểm tra việc Scanning, thực<br /> hiện các biện pháp đối phó. Khi tường lửa được đặt ra, công cụ aport-scanning nên<br /> được chạy cho các máy chủ trên mạng để cho phép tường lửa phát hiện chính xác<br /> và dừng các hoạt động của port-scanning.<br /> Tường lửa có thể phát hiện các hoạt động thăm dò được gửi bởi các công cụ portscanning. Các tường lửa nên tiến hành lấy trạng thái kiểm tra (stateful inspections).<br /> Có nghĩa là nó sẽ kiểm tra không chỉ các tiêu đề TCP mà cả dữ liệu của gói tin để<br /> xác định liệu được phép đi qua tường lửa.<br /> Network IDS nên được sử dụng để phát hiện các phương pháp dò tìm hệ điều hành<br /> được sử dụng bởi một số công cụ hacker phổ biến như Nmap.<br /> <br />